Plusieurs chercheurs affirment que le correctif publié hier par PHP ne couvre pas entièrement la faille. Selon PHP, il n’est pas question d’une troisième vulnérabilité.
Une double vulnérabilité dans le langage de programmation populaire PHP a mis hier le web mondial en ébullition. Le mainteneur PHP Foundation a publié un correctif d’urgence en un temps record et, à en juger par l’absence d’articles sur des exploits, la plupart des administrateurs web semblent avoir fait leurs devoirs. Plusieurs chercheurs indépendants remettent toutefois le correctif en question.
Le chercheur Nicolas Krassas affirme sur X que le correctif laisse toujours une voie d’attaque ouverte. Cela concerne concrètement la version 8.5.12. Cette même mise à jour est aussi prise pour cible par une autre chercheuse, Elise Boyd. Un autre bug de mémoire subsisterait dans PHP 8.5.12, que le correctif ne résout pas.
PHP : « pas de troisième vulnérabilité »
PHP indique qu’il n’est pas question d’une troisième vulnérabilité. La faille à laquelle Boyd fait référence n’aurait aucun lien avec les failles corrigées par PHP Foundation, explique un développeur via Reddit. Maintenant que PHP est passé au crible, on ne peut pas exclure que d’autres signalements de vulnérabilités dans le langage de programmation fassent surface dans les semaines à venir. Ils n’auront pas tous la même gravité.
L’IA est ici à la fois l’amie et l’ennemie des mainteneurs de code. Grâce à l’IA, on peut détecter plus vite les vulnérabilités. Mais tous les signalements de vulnérabilités générés par l’IA ne sont pas aussi fiables ou urgents, ce qui complique la tâche des mainteneurs humains, qui doivent réagir à chaque signalement.
PHP Foundation est critiquée pour sa gestion des vulnérabilités, car elle connaissait au moins l’une d’entre elles depuis 2024 sans l’avoir corrigée. La fondation se défend et n’apprécie guère que des chercheurs en sécurité divulguent leurs découvertes sans concertation. Ainsi, un dangereux intervalle s’est créé hier entre l’annonce de la vulnérabilité et la publication du correctif. Aujourd’hui, les attaquants n’ont besoin que de quelques heures pour concevoir un exploit.
La publication d’un correctif n’est que le début du chemin vers un internet plus sûr. Les administrateurs web doivent encore l’appliquer, et c’est là que les choses tournent souvent mal en pratique. Ces prochains jours, les pirates vont continuer à chercher activement des portes dérobées non colmatées.